Microsoft Entra MFA Regional Opt-In: hoe Microsoft telefonie-MFA per regio beperkt

door Peter Vos | 13 mrt, 2026 | Nieuws | 0 Reacties

Microsoft blijft zijn identiteitsbeveiliging verder versterken. Eén van de minder bekende, maar belangrijke beveiligingsmechanismen in Microsoft Entra multifactor authentication (MFA) is het concept Regional Opt-In voor telefonieverificatie.

Dit mechanisme bepaalt vanuit welke landen SMS- of telefonieverificatie voor MFA standaard is toegestaan of juist geblokkeerd. Voor sommige regio’s moet een organisatie expliciet toestemming aanvragen voordat MFA-verificatie via telefoonnummer mogelijk is.

In deze blog leggen we uit wat Microsoft Entra MFA Regional Opt-In is, waarom het bestaat en wat dit betekent voor organisaties die MFA gebruiken in Microsoft 365 en Entra ID.

Wat is Microsoft Entra MFA Regional Opt-In?

Microsoft Entra MFA ondersteunt verschillende verificatiemethoden, zoals pushmeldingen, passkeys, hardware tokens en telefonieverificatie via SMS of voice calls. MFA voegt een extra beveiligingslaag toe door gebruikers meerdere factoren te laten gebruiken bij het inloggen.

Voor telefonieverificatie gelden echter aanvullende beveiligingsmaatregelen. Microsoft kan voor bepaalde landen telefonieverkeer blokkeren of beperken vanwege een verhoogd risico op fraude.

Daarom bestaat het concept Regional Opt-In:

• Telefonieverificatie is niet automatisch toegestaan voor alle landcodes

• Sommige landen vereisen handmatige activering via Microsoft Support

• Dit voorkomt misbruik van MFA-systemen via frauduleuze telefoondiensten

Waarom Microsoft sommige regio’s blokkeert

Telefoniegebaseerde MFA (zoals SMS of voice calls) kan gevoelig zijn voor fraude. Eén van de belangrijkste risico’s is International Revenue Share Fraud (IRSF).

Bij IRSF:

1. Krijgen aanvallers toegang tot een systeem

2. Genereren ze grote hoeveelheden MFA-verkeer

3. Worden oproepen doorgestuurd naar premium-nummers

Dit wordt ook wel traffic pumping genoemd en kan leiden tot:

• hoge telecomkosten

• instabiele authenticatiesystemen

• misbruik van MFA-processen

Microsoft beperkt daarom telefonieverificatie in risicogebieden om frauduleuze activiteiten te voorkomen en klanten te beschermen.

Daarnaast gebruikt Microsoft heuristiek, machine learning en risicogebaseerde signalen om verdachte telefonieactiviteiten te detecteren en te beperken.

Hoe Regional Opt-In werkt

Wanneer een gebruiker MFA via telefoon probeert te gebruiken in een regio die niet standaard ondersteund wordt, kan Microsoft het verkeer blokkeren.

In dat geval moet een beheerder:

1. Een supportticket bij Microsoft openen

2. Verifiëren waarom telefonieverificatie nodig is

3. Specifieke landcodes laten activeren

Pas daarna kan MFA-verificatie via SMS of spraakoproep voor die regio gebruikt worden.

Dit mechanisme helpt Microsoft om:

• fraude te beperken

• verdachte telecomroutes te blokkeren

• MFA betrouwbaarder te maken

Welke regio’s kunnen een opt-in vereisen?

Microsoft publiceert een lijst met landcodes waarvoor telefonieverificatie niet standaard beschikbaar is.

Dit zijn vaak regio’s met:

• verhoogde telecomfraude

• premium-nummermisbruik

• beperkte telecomregulering

Voor organisaties met internationale gebruikers, partners of klanten kan dit betekenen dat MFA via SMS niet altijd automatisch werkt.

Wat betekent dit voor organisaties?

Voor de meeste organisaties is deze instelling nauwelijks merkbaar, omdat de meeste MFA-gebruikers in standaard ondersteunde regio’s zitten.

Toch zijn er scenario’s waarin Regional Opt-In relevant wordt.

1. Internationale gebruikers

Organisaties met medewerkers in minder gangbare regio’s kunnen merken dat SMS-verificatie niet werkt.

2. B2C of External ID scenario’s

Apps met wereldwijde gebruikers (bijvoorbeeld SaaS-platformen) kunnen tegen regionale beperkingen aanlopen.

3. Legacy MFA-methodes

Telefoniegebaseerde MFA wordt steeds minder aanbevolen. Microsoft adviseert organisaties steeds vaker om sterkere methoden zoals authenticator-apps of passkeys te gebruiken.

Waarom authenticator-apps veiliger zijn

Hoewel SMS-MFA nog steeds wordt gebruikt, zijn modernere methoden veiliger.

Voorbeelden:

• Microsoft Authenticator pushmeldingen

• Passkeys (FIDO2)

• Windows Hello for Business

• hardware security keys

Deze methoden zijn minder kwetsbaar voor telecomfraude en passen beter binnen een Zero Trust-architectuur.

Best practices voor MFA in Microsoft Entra

Om MFA zo veilig mogelijk te maken, raden Microsoft en securityspecialisten aan:

1. Gebruik authenticator-apps als standaard MFA-methode
Pushmeldingen zijn veiliger dan SMS.

2. Verminder afhankelijkheid van telefonie-MFA
SMS en voice calls zijn gevoeliger voor fraude.

3. Controleer internationale gebruikersscenario’s
Zorg dat MFA werkt in alle regio’s waar je organisatie actief is.

4. Gebruik Conditional Access
Hiermee kun je MFA alleen afdwingen bij risicovolle aanmeldingen.

Korte samenvatting MFA en telefoonverificatie

Microsoft Entra MFA Regional Opt-In is een belangrijk maar vaak onbekend beveiligingsmechanisme dat organisaties beschermt tegen telecomfraude.

Kort samengevat:

• Niet alle landcodes ondersteunen automatisch telefonieverificatie

• Sommige regio’s vereisen een handmatige opt-in via Microsoft Support

• Dit helpt fraude en misbruik van MFA-systemen te voorkomen

• Authenticator-apps en passkeys blijven de veiligste MFA-methoden

Voor organisaties die wereldwijd opereren is het verstandig om MFA-methoden regelmatig te evalueren en modernere authenticatievormen te implementeren.

Lijst met Regiocodes voor MFA in Entra

Bron: https://learn.microsoft.com/en-us/entra/identity/authentication/concept-mfa-regional-opt-in